Закон про захист інформації в ІКС: розбір вимог і кого стосуються

Закон України «Про захист інформації в інформаційно-комунікаційних системах» (№ 80/94-ВР) — не декларація, а джерело конкретних обов'язків. Питання, яке цікавить керівника, звучить просто: чи стосується це мене і що доведеться зробити.

Відповідаємо по-діловому. Але спершу одне попередження: у квітні 2025 року акт суттєво переписали, а влітку того ж року Кабінет Міністрів затвердив нові порядки. Тож усе, що ви читали раніше про «обов'язкову КСЗІ з атестатом», описує вчорашній день. Загальний огляд документа — у статті Закон про захист інформації: що вимагає. Тут — практика виконання.

Кого стосуються вимоги: три рівні

Далі — щодо межі докладніше. Саме її й регулює закон про захист інформації в інформаційно-комунікаційних системах: не «всі мають захищатися», а «ось ці зобов'язані, ось ці — ні».

Рівень 1 — обов'язково й суворо. Вирішальний критерій не форма власності, а що саме обробляється:

• відомості з обмеженим доступом (ІзОД), вимога щодо захисту яких встановлена законом;
• державні інформаційні ресурси;
• державна таємниця — окремий, найсуворіший режим.

Рівень 2 — обов'язково, плюс галузева специфіка. Об'єкти критичної інфраструктури отримують додаткові вимоги з іншого боку — від законодавства щодо кібербезпеки.

Рівень 3 — прямих обов'язків немає. Але вони приходять через контракт. Обслуговуєте реєстр держзамовника? Вимоги перекладуть на вас пунктом договору.

Порада, яка рятує маржу. Перш ніж підписувати договір із державним замовником, порахуйте вартість вимог захищеності. Повноцінна КСЗІ або авторизація коштують реальних грошей — інколи більше, ніж уся маржа проєкту.

Сірі зони, де плутаються найчастіше

Три ситуації, у яких відповідь не очевидна.

Комунальне підприємство. Форма власності комунальна, а ресурси, які воно веде, цілком можуть мати статус державних. Дивіться не на вивіску, а на реєстри, які ви наповнюєте.

Приватна компанія — розпорядник державного реєстру. Класика останніх років: держава передає адміністрування зовні. Розпорядник потрапляє під вимоги напряму, а не «через договір».

Персональні дані. Тут відповідь тонша. Персональні дані належать до відомостей з обмеженим доступом, і вимога щодо їх захисту встановлена окремим актом. Але жорсткий режим підтвердження за статтею 8 адресовано насамперед державному сектору. Приватна компанія, яка обробляє персональні дані клієнтів, під авторизацію не потрапляє — проте норма щодо призначення відповідальних осіб сформульована без застережень про форму власності. Практика тут ще складається, і саме тому обережні юристи радять цю норму не ігнорувати.

Що саме вимагає акт

П'ять обов'язків, які випливають прямо з тексту.

1. Захищеність — умова обробки, а не додаток до неї. Спершу заходи, потім робота. Не навпаки.

2. Відповідає власник — або розпорядник. Слова «або розпорядника» додано у 2025 році. Передали інфраструктуру підряднику — обов'язок нікуди не зник, він просто отримав другого адресата.

3. Договір між володільцем і власником. Якщо це різні особи, їхні відносини мають бути врегульовані письмово: обсяг заходів, звітність, строк сповіщення щодо інциденту.

4. Підрозділ або відповідальні особи. Той, хто обробляє держресурси чи ІзОД, утворює підрозділ із кіберзахисту або призначає осіб, відповідальних за захищеність і контроль. Деталі — у матеріалі постанови КМУ та служба ЗІ.

5. Належні засоби. Застосовувати можна лише те, що має підтверджену відповідність, — див. сертифіковані засоби захисту. Окремо акт виділяє комплекс технічного захисту та криптографічний захист.

Головна зміна: КСЗІ більше не єдиний шлях

Ось те, заради чого варто дочитати. Стаття 8 у чинній редакції дає дві дороги там, де раніше була одна.

Дорога перша — авторизація з безпеки. Рішення про можливість експлуатації середовища, ухвалене з урахуванням його відповідності вимогам, стандартам і нормативним документам. Авторизовані середовища вносять до окремого переліку.

Дорога друга — сертифікат відповідності стандарту інформаційної безпеки, виданий органом з оцінки відповідності. Той орган має бути акредитований національним органом з акредитації — українським або іноземним, за умови взаємного визнання.

І важливе застереження: до державної таємниці друга дорога не веде. Там лишається комплекс технічного захисту з підтвердженою відповідністю та ліцензовані криптографічні засоби.

Яку дорогу обрати

Проста логіка вибору. Якщо організація вже живе за міжнародним стандартом і має вибудуване управління захищеністю, друга дорога виглядає природніше — ви йдете знайомою колією. Якщо ж усе будується з нуля й під конкретне державне середовище, перша дорога зазвичай коротша.

І ще: обидві дороги ведуть до одного — до доказів. Різниця лише у тому, кому й у якому вигляді ви ці докази показуєте.

Як влаштована авторизація

Порядок затверджено урядовою постановою № 712 від 18 червня 2025 року. Конструкція має три рівні профілів.

• Базовий профіль безпеки — мінімальний набір заходів. Затверджує Адміністрація Держспецзв'язку, вона ж переглядає вимоги кожні два роки. Профілі для середовищ з ІзОД надають власникам за окремим запитом: сам профіль може бути документом обмеженого доступу.
• Галузевий профіль — уточнення для сфери чи галузі.
• Цільовий профіль — розробляє й затверджує сам власник (розпорядник), спираючись на базовий рівень, призначення середовища, його характеристики та результати оцінки ризиків.

Далі — оцінювання того, як цільовий профіль реалізовано насправді. Робить це не будь-хто: з'явився перелік акредитованих осіб, уповноважених на таке оцінювання. Потім уповноважений орган ухвалює рішення, і середовище потрапляє до переліку авторизованих систем.

Ще дві деталі, які зазвичай проминають:

1. Авторизація має строк. У документах фігурує кінцевий строк наступної планової авторизації. Це не разова подія, а цикл.
2. Перелік відкритий. Він загальнодоступний і безоплатний — крім позицій, доступ до яких обмежено. Тобто статус контрагента можна перевірити без його дозволу.

Що таке «оцінка ризиків» насправді

Найбільш недооцінений крок — і водночас той, на якому провалюються.

Оцінка ризиків існує не заради комісії. Це вхідні дані, з яких виростає цільовий профіль. Логіка проста:

1. Що в нас є — перелік середовищ, масивів, зв'язків між ними.
2. Що може піти не так — сценарії: зовнішній зловмисник, помилка адміністратора, підрядник із надмірними правами, втрата обладнання.
3. Наскільки це ймовірно й чим загрожує — окремо для цілісності, конфіденційності та доступності.
4. Що робимо — приймаємо, зменшуємо, передаємо або уникаємо. Кожен вибір фіксуємо письмово.

Найпоширеніша імітація виглядає так: береться чужа таблиця, у неї підставляється назва організації, усім рядкам ставиться «середній» рівень. Оцінювач бачить це з першого погляду — бо у такій таблиці немає жодного сценарію, який стосувався б саме вашого середовища.

Кого залучати: акредитовані оцінювачі

З появою нової моделі з'явився й новий ринок. Реалізацію цільового профілю оцінює акредитована особа з відповідного переліку — це вже не той самий підрядник, який вам усе будував.

Що це означає практично:

• розділіть ролі. Той, хто впроваджував заходи, і той, хто оцінює їх реалізацію, — різні виконавці. Інакше конфлікт інтересів помітять раніше за вас;
• перевіряйте перелік, а не презентацію. Акредитація або є, або її немає;
• закладайте час на чергу. Оцінювачів поки що небагато, і графік у них щільний.

Ще одна порада, яку рідко дають уголос: поговоріть з оцінювачем до того, як почнете впроваджувати заходи. Півгодини розмови на старті економлять місяці переробок, бо ви дізнаєтеся, які саме докази від вас чекатимуть і в якому вигляді. Найдорожчі зміни — ті, що вносяться до вже змонтованого середовища, і майже завжди їх можна було передбачити.

Що робити тим, хто вже вклався в КСЗІ

Найболючіше питання — і відповідь на нього спокійна.

Якщо відповідність уже підтверджено. Комплексні системи захисту та системи управління з підтвердженою відповідністю, створені до набрання чинності змінами 2025 року, застосовуються за умовами свого створення й повторного підтвердження не потребують. Гроші не згоріли.

Якщо роботи почалися, але не завершилися. Їх доводять до кінця за старими правилами — з державною експертизою й атестатом, — а далі середовище проходить авторизацію протягом дванадцяти місяців від реєстрації атестата.

Якщо середовище суттєво модернізують. Тут ілюзії зайві: воно виходить за межі того, що колись оцінювали, і повертається в чергу вже за чинними правилами.

Якщо ви тільки починаєте. Не витрачайте час на вивчення відмерлої моделі. Дивіться відразу на профілі та оцінку ризиків. Як виглядав класичний проєкт — можна подивитися в матеріалі Як створюється КСЗІ, але вже як на історію питання.

Покроково: що робити, якщо вимоги вас стосуються

1. Складіть перелік середовищ і масивів. Що обробляємо, де, хто має доступ. Без цього переліку решта кроків безглузда.
2. Визначте статус кожного масиву. Держресурс, ІзОД, відкриті дані — чи змішано все в одній купі?
3. Розділіть ролі. Хто володілець, хто власник, хто розпорядник. Різні особи — потрібен договір.
4. Проведіть оцінку ризиків. Це не формальність, а вхідні дані для цільового профілю.
5. Оберіть дорогу. Авторизація чи сертифікат відповідності стандарту — залежно від того, що обробляєте.
6. Візьміть за основу базовий профіль і розробіть цільовий під своє середовище.
7. Залучіть ліцензіата. Роботи з ТЗІ ліцензовані — виконавець без ліцензії вам не помічник (див. побудова КСЗІ: наказ і ТЗ).
8. Закріпіть людей наказом. Підрозділ або відповідальні особи — документом, а не усною домовленістю.

Скільки це триває насправді

Чесна відповідь: довше, ніж обіцяє комерційна пропозиція.

• Інвентаризація й розмежування ролей — тижні, якщо документів немає взагалі.
• Оцінка ризиків — від кількох тижнів; головна затримка тут не методика, а доступ до людей, які знають, як усе працює насправді.
• Розроблення цільового профілю та впровадження заходів — місяці, і саме тут з'являються рахунки за обладнання й ліцензії.
• Оцінювання та рішення — залежить від черги й від якості поданих документів.

Головний прискорювач — не гроші, а порядок у власних документах. Організація, яка має актуальний перелік середовищ і призначених відповідальних, проходить шлях удвічі швидше за ту, що починає з нуля.

Типова помилка планування — рахувати лише «активні» етапи й забувати про очікування. Погодження всередині організації, черга до оцінювача, доукомплектування пакета після зауважень: ці проміжки нікому не видно, доки вони не з'їдять квартал. Закладайте резерв — практика показує, що перший цикл майже завжди виявляється довшим за розрахунковий.

Три документи, які запитають першими

Незалежно від обраної дороги, розмова починається з одного й того самого набору. Якщо цих трьох паперів немає, решту обговорювати рано.

• Перелік середовищ і масивів — що є, де розташоване, які категорії опрацьовує, хто адміністрував востаннє.
• Наказ про призначення відповідальних — прізвища, а не абстрактний «відділ ІТ». Роль без наказу існує лише на словах.
• Звіт про оцінку ризиків — з датою, авторами й переліком сценаріїв, які стосуються саме вашої організації.

Ці три документи обходяться без бюджету й без підрядника. Їх можна зробити власними силами за кілька тижнів — і саме вони перетворюють хаотичний проєкт на керований.

Чотири помилки, які коштують найдорожче

1. Купувати «атестат» у 2026 році. Виконавець, який досі продає стару модель, або не читав постанови, або свідомо продає вам минуле.
2. Оцінювати ризики «для галочки». Цільовий профіль будується на результатах оцінки. Формальний документ дає формальний профіль — і провал на оцінюванні.
3. Вважати, що підрядник несе відповідальність. Не несе. Обов'язок закріплено за власником або розпорядником, договір лише перерозподіляє роботу.
4. Починати з обладнання. Спершу перелік масивів і ролі, потім ризики, і лише потім закупівлі. Зворотний порядок означає, що ви купуєте навмання: спершу з'являється кошторис, а вже під нього дописується обґрунтування. Виглядає це переконливо рівно доти, доки хтось не спитає, від чого саме ці гроші вас рятують.

Що спитати у виконавця до підписання

Чотири питання, які відсіюють тих, хто застряг у минулому:

• який профіль ви берете за основу і хто його затверджує? Відповідь «ми зробимо все за НД ТЗІ» — сигнал тривоги;
• як саме ви оцінюєте ризики й де це буде задокументовано?
• хто оцінюватиме реалізацію профілю — ви чи незалежна акредитована особа?
• що ми отримаємо на виході? Потрібен перелік документів і результат, а не гасло «повна відповідність».

Якщо на всі чотири запитання лунає «атестат», «експертиза», «повний пакет» — перед вами методичка п'ятирічної давнини, і купуєте ви саме її.

Чек-лист перед стартом

• перелік середовищ і масивів існує та актуальний?
• статус кожного масиву визначено письмово?
• ролі володільця, власника й розпорядника розведено?
• оцінку ризиків проведено, а не імітовано?
• відповідальні особи закріплені наказом?
• виконавець має чинну ліцензію на роботи з ТЗІ?
• у контракті з ним прописано, що саме ви отримаєте на виході?

Сім «так» — можна починати. Хоч одне «ні» — ви ще на етапі підготовки, і краще визнати це зараз, ніж на оцінюванні.

І окремо для підрядників. Якщо ви обслуговуєте чуже середовище, ваш власний чек-лист коротший, але не менш важливий: чи знаєте ви статус даних, до яких маєте доступ; чи прописано у контракті строк сповіщення щодо інциденту; чи не обіцяли ви замовнику результат, якого не можете забезпечити. Останній пункт — найдорожчий: обіцянка «зробимо повну відповідність» без ліцензії та без розуміння профілів закінчується не штрафом, а розірваним договором і зіпсованою репутацією на ринку, де всі одне одного знають.